SAML/OAuth/OIDC

September 7, 2024

auth

SSO

单点登录 Single sign-on (SSO) 简单来说，就是通过一次登录，授权访问多个应用程序。

单点登录的好处显而易见：用户能够集中管理其身份。也可通过 MFA 加强安全性。

另见：
https://www.cloudflare.com/zh-cn/learning/access-management/what-is-sso/

SAML

SAML (Security Assertion Markup Language) 基于 XML/HTTP/SOAP （现 SAML2.0），主要用于浏览器 SSO。

工作原理

身份提供者（Identity Provider，IdP）：通常是企业内部的目录服务，负责验证用户的身份
服务提供商（Service Provider，SP）：需要用户登录的应用程序或服务
SAML 协议： IdP 和 SP 之间通过 SAML 协议交换信息。当用户试图访问 SP 时，SP 会重定向用户到 IdP 进行身份验证。如果验证成功，IdP 会生成一个 SAML 断言，其中包含用户的身份信息，并将其发送给 SP。SP 收到断言后，验证其有效性，并允许用户访问

另见： https://www.sheshbabu.com/posts/visual-explanation-of-saml-authentication/
https://www.cloudflare.com/zh-cn/learning/access-management/what-is-saml/
https://www.microsoft.com/zh-cn/security/business/security-101/what-is-security-assertion-markup-language-saml

OAuth

OAuth (Open Auth) 主要用于授权第三方应用程序（通过令牌，代表用户来）访问用户的资源。
因此 OAuth 相比于 SAML，就会区分 Client（第三方应用程序）和 ResourceOwner（拥有资源的人，即用户）。

另见：
https://www.cloudflare-cn.com/learning/access-management/what-is-oauth/
https://www.microsoft.com/zh-cn/security/business/security-101/what-is-oauth

OIDC

OpenID 是一种分布式的身份验证协议，它允许用户使用一个唯一的标识符（通常是一个URL）在不同的网站上登录，而无需在每个网站上重新注册。
OpenID 的核心在于提供一个可信赖的第三方身份验证服务（IdP），用户可以在这个服务上验证自己的身份，然后将这个验证结果带到其他网站上使用。

OpenID Connect（OIDC）是建立在OAuth 2.0 授权框架之上的一个身份认证层。它利用 OAuth 2.0 的授权机制，为客户端提供了一种更简单、更安全的方法（REST/JSON 消息流）来验证用户身份。OIDC 通过在 OAuth 2.0 的基础上增加了一个 ID Token，来明确表示用户的身份信息。

Summary

SAML 流程

OAuth2 流程

OIDC 流程

←Back to home

This work is licensed under CC BY-NC-SA 4.0